标签: Windows

Windows GravityRAT 恶意软件现在开始攻击 Android 和 macOS

GravityRAT是一种以检查Windows计算机的CPU温度以检测虚拟机或沙箱而闻名的恶意软件,现在已经成为多平台的间谍软件,因为它现在也可以用来感染Android和macOS设备。GravityRAT远程访问木马(RAT)至少从2015年开始就被看似巴基斯坦的黑客组织积极开发,并被部署在针对印度军事组织的定向攻击中。 虽然恶意软件的作者之前专注于针对Windows机器,但卡巴斯基研究人员去年发现的一个样本显示,他们现在正在增加对macOS和Android的攻击。他们现在还使用数字签名来签署他们的代码,使他们的诱杀应用看起来合法。 更新后的RAT样本是在分析一款Android间谍软件应用(即Travel Mate Pro)时检测到的,该应用会窃取联系人、电子邮件和文件,这些文件会被发送到在线命令和控制服务器,这个服务器也被另外两个针对Windows和macOS平台的恶意应用(Enigma和Titanium)也在使用。 这些恶意应用程序在受感染设备上投放的间谍软件恶意软件运行着多平台代码,它允许攻击者向,它们可以获取系统信息,搜索计算机和可移动磁盘上扩展名为.doc、.docx、.ppt、.pptx、.xls、.xlsx、.pdf、.odt、.odp和.ods的文件,并将它们上传到服务器,获取运行中的进程列表,窃听,截屏,任意执行shell命令,录音和扫描端口。 “总的来说,发现了超过10个版本的GravityRAT,被伪装成合法的应用程序进行分发,这些模块一起使用,使该集团能够进入Windows操作系统,MacOS和Android。卡巴斯基还发现了用.NET、Python和Electron开发的应用程序,这些应用程序通常是合法应用程序的克隆,它们会从C&C服务器上下载GravityRAT有效载荷,并在被感染的设备上添加一个预定任务以获得持久性。     (消息来源:cnbeta,封面来自网络)

今年最严重 Windows 漏洞之一:有黑客利用 Zerologon 植入服务器后门

安全研究人员本周五发布警告称,2020 年最严重的 Windows 漏洞之一目前正被黑客广泛利用,从而对网络中那些存储用户凭证和管理员账号的服务器植入后门。该漏洞名为“Zerologon”,能让攻击者访问活动目录,以管理员身份创建、删除和管理网络账号。 在黑客攻击中会掌控 Active directories 和域控制器,允许攻击者使用执行代码对所有连接到该网络的计算机发起攻击。微软在今年 8 月补丁星期二活动日发布的累积更新中,已经修复了这个编号为 CVE-2020-1472 的漏洞。 上周五,以独立研究员身份工作的凯文·博蒙特(Kevin Beaumont)在一篇博客文章中表示,已经有证据表明黑客利用该漏洞发起了攻击。他表示已经有黑客针对他的蜜罐(honeypot)进行了攻击,这个尚未修复的诱饵服务器中受到了攻击,攻击者便能够使用Powershell脚本成功更改管理员密码并对该服务器进行后门操作。 博蒙特表示这些攻击完全是脚本化的,所有命令在几秒钟内即可完成。这样,攻击者安装了后门,从而可以远程管理其模拟网络中的设备。攻击者(使用用户名sdb和密码jinglebell110 @设置了帐户)也启用了远程桌面。结果,如果后续修补CVE-2020-1472,攻击者将继续具有远程访问权限。     (消息来源:cnbeta,封面来自网络)

恶意软件 Emotet 活动升级:伪装成 Windows Update 邮件分发

臭名昭著的 Emotet 恶意软件活动再次升级。在本次活动中,该恶意软件通过声称是来自“Windows Update”的电子邮件进行分发,并告诉用户应该升级微软 Word 。援引外媒 Bleeping Computer 的说法,在这些电子邮件中包含恶意的 Word/Excel 文档,或者下载链接。当用户点击之后,附件会提示用户“启用内容”从而允许宏命令运行,从而安装 Emotet 木马程序。 相信 cnBeta 的大部分读者都能识别这样的恶意电子邮件,但对于那些不太懂技术的用户来说就非常容易受骗了。为了欺骗人们使用宏,Emotet 使用了不同的文档模板,例如声称是在iOS、Windows 10 Mobile 或者旧版本 Office、受保护的文档中创建的。 原本只是金融木马的Emotet功能愈来愈强大,除了可窃取使用者所储存的凭证、金融资讯或其它个人资讯外,它还能夹带诸如挖矿程式或勒索软体等恶意程式,或于企业网路上建立僵尸网路,已被视为最危险的病毒之一。     (稿源:cnbeta;封面来自网络)

微软已修复 Windows 安装过程中的权限提升安全漏洞

在Windows Setup中存在一个安全漏洞,即安装操作系统功能更新时的过程中可使得经过本地认证的攻击者有可能利用提升的系统权限运行任意代码。该漏洞(CVE-2020-16908)可被利用来安装软件、创建新用户账户或干扰数据。 该漏洞是在Windows Setup处理目录的方式中发现的,微软表示,它影响到Windows 10的1803、1809、1903、1909和2004版本。不过微软表示系统只有在升级到新功能更新的过程中才容易受到攻击,其他时间都不会受到影响。现在功能更新捆绑包已经提供打了补丁后的Setup二进制文件,该漏洞已经 “不复存在”。 这个漏洞只存在于Windows 10 Setup中,当客户从以前的Windows 10版本升级到较新的版本(例如,从Windows 10版本1909升级到Windows 10版本2004)时,Windows 10 Setup都会暂时运行。只有在升级到较新版本的Windows时,设备才会出现漏洞。如果您正在使用WSUS或MEM ConfigMgr或其他第三方管理工具,请同步最新的功能更新捆绑,并批准这些部署。如果您使用的是Windows媒体,根据系统的适用性,请从VLSC或Visual Studio订阅版(原MSDN)下载最新的刷新媒体,或下载最新的适用的Setup动态更新(DU)包,并为您现有的媒体打上补丁。 您可以从 Microsoft 更新目录网站下载最新的设置动态更新 (DU) 包。可以在以下地址找到: 4582759 — Windows 10 Version 1803 4582760 — Windows 10 Version 1809 4579919 — Windows 10 Version 1903 4579919 — Windows 10 Version 1909 4579308 — Windows 10 Version 2004 了解更多: MISC:https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-16908 URL:https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-16908     (稿源:cnBeta;封面来自网络)

十月更新修复了 Windows 10 的 Ping of Death 漏洞

在软件开发和使用周期里,错误与漏洞显然是难以避免的。即便如微软这样的软件巨头,也在 Windows 10 操作系统中遇到了一个老对手,它就是可让用户轻松陷入 BSOD 故障的“ping 死”漏洞。安全研究企业 Sophos 指出,微软其实已经在 2013 年修复过该漏洞。然而由于未知的原因,2020 版的 Windows 10 系统竟然又躺枪了。 据悉,该漏洞的核心,是基于 Windows TCP / IP 驱动程序中的一个缺陷。作为负责底层网络通讯的软件,其掌管着计算机在本地和互联网线路上的所有基础通信。 此外该漏洞利用涉及特制的 IPv6 路由广播封包,在让驱动程序的数据处理能力过载的情况下,即可导致缓冲区溢出或蓝屏死机。 庆幸的是,微软已经在 Windows 10 2020 十月更新中修复了这一问题。此外还有临时解决方案,比如完全禁用 IPv6 通讯协议。 虽然该漏洞还可被用于远程代码执行(RCE),但 Sophos 测试表明,其并没有前述的拒绝服务(DoS)攻击那样容易得逞。 最后,该安全机构提到了 2020 十月补丁中修复的另一个有趣 bug,它与 Windows 自身用于验证文件的安全目录功能有关。 恶意软件会利用该漏洞,相对轻松地对 Windows 安全系统进行欺骗。对于普通用户来说,还请记得及时更新 —— 但愿这批补丁不会又引入新的 bug 。       (稿源:cnBeta,封面源自网络。)

Windows Update 被发现可滥用于执行恶意程序

今年 9 月,本站曾报道 Microsoft Defender 中可通过命令行方式下载恶意文件;而现在,在 Windows Update 中也发现了类似的功能,从而也能被黑客滥用用于执行恶意文件。 援引外媒 Bleeping Computer 报道,MDSec 研究人员 David Middlehurst 发现,攻击者可以通过使用以下命令行选项从任意特制的 DLL 加载 wuauclt,从而在 Windows 10 系统上执行恶意代码:   wuauclt.exe /UpdateDeploymentProvider [path_to_dll] /RunHandlerComServer 该技巧绕过 Windows 用户帐户控制(UAC)或Windows Defender应用程序控制(WDAC),可用于在已经受到威胁的系统上获得持久性。之所以能够发现,是因为他发现已经有黑客利用这个漏洞执行攻击行为。     (稿源:cnBeta,封面源自网络。)

微软表示将调查 Windows XP 与 Server 2003 源代码泄露一事

微软的Windows XP和Windows Server 2003的源代码已经在网上泄露。本周,这两个对公司而言具有历史意义的操作系统的源代码的Torrent文件已经被公布在各个文件共享网站上。这是Windows XP的源代码首次公开泄露,尽管早有消息声称这段代码已经被私下共享多年。 这些材料的真实性已经被核实,微软发言人告诉表示公司正在 “调查此事”。最新的源代码泄露不太可能对仍然停留在运行Windows XP机器的公司构成重大威胁。微软早在2014年就结束了对Windows XP的支持,不过该公司在2017年用一个极不寻常的Windows XP补丁来应对大规模的WannaCry恶意软件攻击。 这是Windows XP源代码首次公开出现,但源码并不是被严格保存的,微软曾经启动了一个特殊的政府安全计划(GSP),允许政府和组织有控制地访问源代码和其他技术内容。 这次最新的Windows XP源码泄露也并不是微软操作系统源代码第一次出现在网上。几年前至少有1GB的Windows 10相关源代码泄露,微软今年还面临一系列Xbox相关源代码的泄露。原始的Xbox和Windows NT 3.5源代码早在5月份就出现在网上,就在Xbox Series X图形源代码被盗并泄露到网上的几周后。 目前还不清楚这次泄露的源代码中包含了多少Windows XP源代码,但一位Windows内部专家称已经在其中找到了微软的NetMeeting用户证书根签密钥。 部分源代码泄露还参考了微软的Windows CE操作系统、MS-DOS以及其他泄露的微软资料。诡异的是,这些文件中还提到了比尔·盖茨的阴谋论,显然是想传播错误信息。     (稿源:cnBeta,封面源自网络。)

可 3 秒入侵 Windows 服务器:微软敦促客户尽快修复 Zerologon 漏洞

在 Zerologon 漏洞开始疯狂传播之后,美国国土安全局责令政府网络管理员责令政府网络管理员立即给 Windows Server 2008 及以上版本(包括 Windows 10 Server)打补丁。现在,微软也加入这一呼吁,表示:“微软正在积极跟踪 CVE-2020-1472 Netlogon EoP 漏洞(也被称之为 Zerologon)的活动情况,我们已经观测到有黑客利用该漏洞发起了攻击”。 该漏洞编号为 CVE-2020-1472,存在于 Windows Server 中 Active Directory 核心验证元件 Netlogon 远程协议(MS-NRPC)中,可让未经授权的攻击者借由和网域控制器建立 TCP 连线时,送入假造的 Netlogon 验证令符而登入网域控制器,进而完全掌控所有 AD 网域内的身份服务。 在 8 月的补丁星期二活动日中,微软修复了这个漏洞。虽然该漏洞的CVSS 评分为满分10分,但细节从未公开过,也就是说用户和IT 管理员从未意识到该漏洞的严重程度有多高。 CISA已发布紧急指令20-04,指示联邦文职行政部门机构对所有域控制器应用微软Windows服务器2020年8月安全更新(CVE-2020-1472)。CISA 已经指示政府服务器在9月21日(本周一)之前打好补丁,同时也强烈敦促他们在州和地方政府、私营部门以及美国公众中的合作伙伴尽快应用这一安全更新。     (稿源:cnBeta,封面源自网络。)

微软修复了 2018 年起就存在的 0day 级别 Windows 文件签名漏洞

作为8月11日补丁周二的一部分,一个0day级别的漏洞被修复,它影响到Windows 7、Windows 8.1、Windows 10和几个Windows Server版本,微软还承认已经留意到利用此漏洞发生的攻击已经出现。这是操作系统中的一个欺骗漏洞,详情记录在CVE-2020-1464中,后果是黑客最终可以通过成功利用它来加载不当签名的文件。 “存在一个欺骗漏洞可以令Windows错误地验证文件签名。成功利用该漏洞的攻击者可以绕过安全功能,加载不正当签名的文件。在攻击场景中,攻击者可以绕过旨在防止加载不当签名文件的安全功能。”微软表示,看起来这个缺陷从2018年起就存在。 KrebsOnSercurity透露,该欺骗漏洞最早是由VirusTotal的经理Bernardo Quintero向微软报告的,公司随后向他证实了这一发现。但是,”微软已经决定不会在当前版本的Windows中修复这个问题,并同意我们能够在博客上公开报道这个案例和我们的发现。”在引用源强调的一篇博客文章中如此描述。 安全研究员、KZen Networks的创始人Tal Be’ery也指出,有证据表明该缺陷在2018年夏天就被发现了,不知为何微软当时就决定不打补丁。 微软则回避了关于为什么要等到现在才打补丁的问题。但更糟糕的是,微软在2018年不发布修复程序,等到2020年8月才解决操作系统缺陷,这意味着本身就暴露在攻击之下的Windows 7设备不再获得补丁,因为其非付费性质的支持早在2020年1月就结束了。     (稿源:cnBeta,封面源自网络。)

微软修复不力 谷歌 Project Zero 再次披露 Windows 中的一个严重漏洞

谷歌旗下的 Project Zero 安全团队,以查找自家和其它公司开发的软件中的漏洞而被人们所熟知。理论上,在 90 天的宽限期内,接到通报的厂商有相对充裕的时间来完成修复。然而在现实生活中,偶尔也会有一些例外情况。比如近日,Project Zero 团队就因为微软修复不力,而选择在 90 天后公开披露 Windows 中的一个严重漏洞。 (来自:Google Project Zero) 过去几年,Project Zero 团队已经曝光过影响 Windows 10 S、macOS 内核、iOS 等平台的严重漏洞。 然而在昨日的“星期二补丁”中,研究人员声称微软未能提供一个完整的修复程序,于是决定公开一个影响各版本 Windows 的“中等”严重性漏洞。 据悉,Project Zero 于 2020 年 5 月 5 日首次将一个身份验证漏洞汇报给了微软 —— 即使应用程序不具备此功能,也可通过用户凭据来绕过网络身份验证。 在对枯燥的技术术语进行抽丝剥茧后,可知问题主要出在旧版 Windows 应用容器可通过单点登录、对用户授予企业身份验证的访问权限(这本该是个受限的敏感功能)。 虽然具有此类缺陷的应用程序不会通过 Windows Store 的审核,但许多企业仍在使用基于侧载的部署方案,因而该漏洞仍需要 Windows 用户提高警惕。 Project Zero 安全研究员 James Forshaw 指出:当应用程序向网络代理提起身份验证时,UWP 网络会错误地将之视作一个例外。 这意味着,只要为 InitializeSecurityContext 指定了有效的目标名称,AppContainer 便可执行网络身份验证,而无论网络地址是否已经代理注册。 结果就是,只要你的应用程序具有不受实际限制的网络访问功能,用户便可指定任意目标名称,对面向网络的资源进行身份验证。 同样的,由于你可指定任意目标名称、并且正在执行实际的身份验证,那注入 SPN 检查和 SMB 签名之类的服务器防护手段都将变得毫无意义。 从理论上来讲,由于防火墙 API 中存在后门,本地攻击者可借助经典版 Edge 浏览器访问本地主机服务、然后找到需要转义的系统服务,从而达到漏洞利用的目的。 更糟糕的是,这只是该漏洞缺陷的一部分。因为即便代理没有正确地处理网络地址,它仍可被绕过。 因其调用了 DsCrackSpn2,将服务类 / 实例:端口 / 服务名形式的网络目标名称划分成了各个组件。 Project Zero 团队甚至附上了概念验证(PoC)的代码,以展示应用程序是如何绕过企业身份验证、以获得更高的特权的。 PoC 尝试列出了 Windows Server 消息块(SMB)的共享,即使操作系统不允许此类访问,本地共享上仍会将它列出。 遗憾的是,尽管 Project Zero 团队为微软提供了标准的 90 天的缓冲、并于 7 月 31 日再次延展了宽限期,以便该公司可在 8 月 Patch Tuesday 推出该修复程序,但微软最终还是让我们感到失望。 该公司确实在昨日发布了 CVE-2020-1509 的修复程序,并对 James Forshaw 的发现表示了感谢,但 Project Zero 团队声称该公司并未彻底修复该缺陷,因其并未纠正 DsDrackSpn2 目标名称解析漏洞。 最终 Project Zero 决定在今日公布这个复杂的漏洞详情,即便普通的“脚本小子”无法轻易利用,但特权提升(即使是本地特权提升)也是相当危险的。 更具微软的安全公告,该问题影响多个 Windows 操作系统版本,包括 Windows Server 2012 / 2016 / 2019、Windows 8.1 / RT 8.1、以及直到 Version 2004 的 Windows 10 。     (稿源:cnBeta,封面源自网络。)